The Data Encryption Standard

Transcript

1 Network ecurity Elements of Applied Cryptography The Data Encryption tandard (FIP 46, January 15, 1977) History On May 15, 1973, National Bureau of tandards published a solicitation for cryptosystems in the Federal Register DE was published in the Federal Register of March 17, 1975 DE was developed by IBM as a modification of LUCIFER DE was considered a standard for unclassified applications on January 15, 1977 after much public discussion DE has been reviewed every 5 years The most recent review was January 1994 It is not a standard since Network ecurity Gianluca Dini 2

2 Criteri alla base di un cifrario I principali criteri alla base di un cifrario sono (hannon 1940): Diffusione alterare la struttura del testo in chiaro spargendone i caratteri su tutto il testo cifrato Confusione combinare in modo complesso il messaggio e la chiave per non permettere al crittoanalista di separare queste due sequenze mediante un analisi del crittogramma Network ecurity Gianluca Dini 3 Diffusione Obiettivo: diffusione Alterare la struttura del testo in chiaro spargendone i caratteri su tutto il testo cifrato Meccanismi (intuizione) 1. Permutazione rimane immutata la frequenza delle singole lettere ma si perde l informazione sulla frequenza dei q-grammi 2. Combinazione combinare i caratteri del testo in chiaro tra loro in modo che ciascun carattere del crittogramma venga a dipendere da molti di essi. Così facendo si perde l informazione sulla frequenza delle singole lettere oltre che dei q-grammi Network ecurity Gianluca Dini 4

3 Confusione Obiettivo: confusione Combinare in modo complesso il messaggio e la chiave per non permettere al crittoanalista di separare queste due sequenze mediante un analisi del crittogramma Meccanismi Il crittogramma è una funzione non-lineare del messaggio e della chiave Network ecurity Gianluca Dini 5 P-network plaintext P P ciphertext round : sostituzione P: permutazione Network ecurity Gianluca Dini 6

4 Data Encryption tandard (DE) Le elaborazioni interne di DE garantiscono che ciascun bit del crittogramma dipenda da tutti i bit della chiave e da tutti i bit del messaggio Diffusione: permutazioni ed espansioni dei bit Confusione: sostituzione e successiva compressione dei bit del messaggio e della chiave Le idee alla base del DE sono rimaste immutate e sono quelle che si trovano in AE Network ecurity Gianluca Dini 7 Data Encryption tandard (DE) K K P DE C C DE P The input key K is actually specified as a 64-bit key, 8 bits of which (bits 8; 16,, 64) may be used as parity bits. The 2 56 keys implement (at most) 2 56 of the 2 64! possible bijections on 64-bit blocks. Network ecurity Gianluca Dini 8

5 Data Encryption tandard (DE) Testo in chiaro (64 bit) Initial Permutation (IP) Round 1 Round 2 Round 16 K 1 K 2 K 16 key scheduler Chiave K 64 bit: 56-bit key; 8 parity-bits cambio a 32 bit sottochiavi Final Permutation (IP -1 ) Testo cifrato (64 bit) Network ecurity Gianluca Dini 9 Data Encryption tandard (DE) Testo in chiaro (64 bit) IP L 0 32 R 0 32 Round 1 L 1 R 1 Round 2 Round 16 K 1 K 2 K 16 R 16 L key scheduler Chiave K (64 bit) IP -1 Testo cifrato (64 bit) Network ecurity Gianluca Dini 10

6 DE: round i-esimo L i-1 R i k i L i R i L i = R i-1 ; R i = L i-1 (R i-1, K i ) : round function (non-linear) Network ecurity Gianluca Dini 11 Decifratura in DE L algoritmo di decifratura con chiave K è uguale all algoritmo di cifratura con chiave K, dove le chiavi di round K i applicate in ordine inverso Dimostrazione (solo round 1) La permutazione IP -1 della cifratura è cancellata da IP della decifratura, si ottiene quindi (L 0d, R 0d ) (R 16, L 16 ) Round 1 con chiave di round K 16 L 1d = L 16; R 1d = R 16 (L 16, K 16 ) essendo L 16 = R 15 e R 16 = L 15 (R 15, K 16 ) L 1d = L 16 = R 15 R 1d = R 16 (L 16, K 16 ) = L 15 (R 15, K 16 ) (R 15, K 16 ) = L 15 Il primo round della decifratura produce (L 1d, R 1d ) (R 15, L 15 ), inverte cioè il round 16 L inversione non dipende né da né da K i Network ecurity Gianluca Dini 12

7 Round function R i-1 K i Expansion bit 8 6 bit ubstitution (-box) (R i-1, K i ) = (((R i-1 ) K i ) Permutation Network ecurity Gianluca Dini 13 Commenti Permutazioni iniziale IP e finale IP -1 ono l una l inversa dell altra Non sono rilevanti ai fini della sicurezza Alcune implementazioni W le omettono Espansione Effetto valanga ostituzione È una funzione non-lineare (rispetto a ), che maggiormente contribuisce alla sicurezza di DE. È difficile da analizzare È progettata per massimizzare la confusione. Permutazione Aggiunge diffusione Network ecurity Gianluca Dini 14

8 -box B i B B = b 1 b 2 b 3 b 4 b 5 b 6 row = b 1 b 6 (outer bits) column = b 2 b 3 b 4 b 5 (inner bits) EEMPIO 1 (011011) = 5 r = 1 c = 13 Network ecurity Gianluca Dini 15 Key cheduling e 2 garantiscono che in ogni round venga estratto un diverso sottoinsieme di bit i calcola che ogni bit della chiave originale partecipi in media a 14 round 28 K 64 1 i Permutazione e compressione (genera la prima sottochiave) Rotazione sinistra (1 bit per round = 1, 2, 9, 16; 2 bit altrimenti) K i (i-th subkey) Permutazione e compressione Network ecurity Gianluca Dini 16

9 DE controversy The -boxes, being the only non-linear components of the cryptosystem, are vital to security The design criteria of -boxes are not completely known ome people have suggested that -boxes contain trapdoors which would allow NA to decrypt messages while maintaining that DE is secure It is impossible to disprove such an assertion but no evidence has come to light to indicate that trapdoor in fact exist Network ecurity Gianluca Dini 17 DE in practice DE can be efficiently implemented either in hardware or in software arithmetic operations are exclusive-or E, -boxes, IP, IP -1, key scheduling can be done in constant time by table-lookup (sw) or by hard-wiring them into a circuit One very important DE application is in banking transactions DE is used to encrypt PINs and account transactions carried out at ATM DE is also used in government organizations and for interbank transactions Network ecurity Gianluca Dini 18

10 Proprietà di DE Empiricamente, DE raggiunge i seguenti obiettivi: Ogni bit del crittogramma dipende da tutti i bit della chiave e da tutti bit del messaggio Non ci sono relazioni statistiche evidenti tra il messaggio ed il crittogramma L alterazione di un bit nel messaggio altera ciascun bit del crittogramma con probabilità 0.5 L alterazione di un bit nel crittogramma causa un cambiamento imprevedibile nel messaggio Network ecurity Gianluca Dini 19 Anomalie di DE Chiavi deboli: Una chiave k è debole se E K (E K (x)) = x, x Chiavi semi-deboli: Una coppia di chiavi (K1, K2) è semidebole se E K1 (E K2 (x)) = x, x DE ha 4 chiavi deboli e 6 coppie di chiavi semi-deboli Le chiavi deboli e semi-deboli sono ben note e vengono scartate quando viene generata la chiave Esempio: le chiavi deboli FEFE FEFE FEFE FEFE 1F1F 1F1F 1F1F 1F1F E0E0 E0E0 E0E0 E0E0 Network ecurity Gianluca Dini 20

11 Anomalie di DE Complementation property If u = E a (e) then ū = E ā (ē) This property makes it possible a chosen-plaintext exhaustive key search in which the key space becomes half the original key space Once a key have been tried, it is not necessary to try the complemented key Network ecurity Gianluca Dini 21 DE properties and anomalies DE is not a group DE is not closed under composition If DE were a group then m, K1, K2, K3 s.t. E K1 (E K2 (m)) = E K3 (m) This means that encrypting twice is better than encrypting once 3DE T DE DE -1 DE C K 1 K 2 K 1 requires attempts A brute-force attack Network ecurity Gianluca Dini 22

12 trength of DE a tta c k m e th o d d a ta c o m p le x ity s to r a g e c o m p le x ity p r o c e s s in g c o m p le x ity e x h a u s tiv e p re c o m p u ta tio n (ta b le lo o k u p ) e x h a u s tiv e s e a rc h 1 n e g lig ib le lin e a r (8 5 % ) fo r te x ts c ry p ta n a ly s is (1 0 % ) fo r te x ts d iffe re n tia l fo r te x ts c ry p ta n a ly s fo r te x ts Network ecurity Gianluca Dini 23